Los hackers usan Google Analytics para robar tarjetas de crédito
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
Los hackers no paran con su creatividad y ahora están explotando el servicio de Google Analytics para robar sigilosamente información de tarjetas de crédito de sitios de comercio electrónico infectados.
Según varios informes de PerimeterX, Kaspersky y Sansec, los cibercriminales ahora están inyectando código para robo de datos en las páginas web comprometidas, en combinación con el código de seguimiento generado por Google Analytics para su propia cuenta, lo que les permite filtrar la información de pago ingresada por los usuarios incluso condiciones donde las políticas de seguridad de contenido se aplican para la máxima seguridad de internet.
En los incidentes pasados, gracias a los cuales notaron esta estrategia; "los atacantes inyectaron código malicioso en los sitios, que recopilaron todos los datos ingresados por los usuarios y luego los enviaron a través de Analytics". "Como resultado, los atacantes podían acceder a los datos robados en su cuenta de Google Analytics".
Se encontraron alrededor de dos docenas de sitios web infectados en Europa y América del Norte y del Sur que se especializaron en la venta de equipos digitales, cosméticos, productos alimenticios y repuestos.
Omitir la política de seguridad de contenido
El ataque depende de la premisa de que los sitios web de comercio electrónico que utilizan el servicio de análisis de Google para rastrear visitantes han incluido en la lista los dominios asociados en su política de seguridad de contenido (CSP).
CSP es una medida de seguridad adicional que ayuda a detectar y disminuir las amenazas derivadas de las vulnerabilidades de secuencias de comandos en sitios cruzados y otras formas de ataques de inyección de código.
La función de seguridad permite a los webmasters definir un conjunto de dominios con los que se debe permitir que el navegador interactúe para una URL específica, evitando así, la ejecución de código no confiable.
Según el vicepresidente de investigación de PerimeterX, Amir Shaked “la fuente del problema es que el sistema de reglas CSP no es lo suficientemente granular". "Reconocer y detener la anterior solicitud maliciosa de JavaScript requiere soluciones de visibilidad avanzadas que puedan detectar el acceso y la filtración de datos confidenciales del usuario (en este caso, la dirección de correo electrónico y la contraseña)".
Para recopilar datos de esta manera, sólo se necesita es un pequeño fragmento de código JavaScript que transmita los detalles de los datos recopilados (como las credenciales y la información de pago) mediante parámetros utilizados por Google Analytics y así identificar las diferentes acciones realizadas en una página.
Para hacer que los ataques sean más sigilosos, los atacantes también determinan si el modo desarrollador --una característica que se usa seguido para detectar solicitudes de red y errores de seguridad-- está habilitado en el navegador del visitante y procede sólo si el resultado de esa verificación es negativo .
Lo curioso es que otro informe totalmente independiente de este descubrió una campaña similar del 17 de marzo que entregó el código malicioso en varias tiendas utilizando un código JavaScript alojado en Firebase de Google.
Para desviar la atención, el hacker creó un iFrame temporal para cargar una cuenta de Google Analytics controlada por el atacante. Así, los datos de la tarjeta de crédito ingresados en los formularios de pago se cifran y se envían a la consola de análisis desde donde se recuperan utilizando la clave de cifrado utilizada anteriormente.
Dado el uso generalizado de Google Analytics en estos ataques, las contramedidas como CSP no funcionarán si los atacantes aprovechan un dominio ya permitido para secuestrar información confidencial.
Una posible solución vendría de las URL adaptables, agregando la ID como parte de la URL o subdominio para permitir a los administradores establecer reglas CSP que restrinjan la filtración de datos a otras cuentas.
Desafortunadamente, como cliente, no hay mucho que puedas hacer para protegerste de los ataques de formjacking. Pero, aunque activar el modo desarrollador en los navegadores puede ayudar al realizar compras en línea, es esencial que esté atento a cualquier caso de compras no autorizadas o robo de identidad.
¡Tu seguridad va primero!
Egresada de Diseño de la Universidad Iberoamericana, especializada en mercadotecnia por ESNE Madrid e ilustración digital en 2D y animación por Parsons School of Design. Con 7 años de experiencia en creación de contenido, marketing digital y social media.
